CVE-2017-12794

描述

In Django 1.10.x before 1.10.8 and 1.11.x before 1.11.5, HTML autoescaping was disabled in a portion of the template for the technical 500 debug page. Given the right circumstances, this allowed a cross-site scripting attack. This vulnerability shouldn't affect most production sites since you shouldn't run with "DEBUG = True" (which makes this page accessible) in your production settings.

如何修補 CVE-2017-12794

要修補 CVE-2017-12794,請將受影響套件升級到下列已修補版本。

• —升級至 1.11.5-r0 或更新版本
• —升級至 1.11.5-r0 或更新版本
• —升級至 1:1.11.5-1 或更新版本
• —升級至 1.10.8 或更新版本
• —升級至 1.10.8 或更新版本

CVE-2017-12794 正在被利用嗎?

中等 — EPSS 為 23.6%,可持續追蹤但非最高優先。

受影響套件(5)

• from 0, < 1.11.5-r0
• from 0, < 1.11.5-r0
• from 0, < 1:1.11.5-1
• >= 1.10a1, < 1.10.8
• >= 1.10, < 1.10.8, >= 1.11, < 1.11.5

CVSS 分數

參考連結(16)

• ADVISORYgithub.com/advisories/GHSA-9r8w-6x8c-6jr9
• ADVISORYnvd.nist.gov/vuln/detail/CVE-2017-12794
• ADVISORYsecurity-tracker.debian.org/tracker/CVE-2017-12794
• ADVISORYsecurity.alpinelinux.org/vuln/CVE-2017-12794
• ADVISORY